Dies ist eine technisch-operative Vorlage. Sie erfordert eine rechtliche Prüfung und Anpassung, bevor sie in einem vertraglichen Kontext verwendet wird.
DPA-Struktur
- Parteien (Verantwortlicher und Auftragsverarbeiter).
- Gegenstand und Zwecke der Verarbeitung.
- Dauer, Datenkategorien und betroffene Personen.
- Dokumentierte Weisungen des Verantwortlichen.
- Pflichten des Auftragsverarbeiters.
- Unterauftragsverarbeiter und Transfers außerhalb des EWR/UK.
- Sicherheitsmaßnahmen und Datenschutzverletzungsverfahren.
- Rechte betroffener Personen, Prüfungsrechte und Beendigung.
Wichtige technische Maßnahmen
- Rollenbasierte Zugriffskontrolle und Prinzip der minimalen Rechtevergabe.
- Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand, soweit anwendbar.
- Umgebungstrennung: Entwicklung / Staging / Produktion.
- Operative und KI-Prüfprotokolle.
- Sicherung, Wiederherstellung und kontinuierliche Überwachung.
- Geheimnisverwaltung über einen dedizierten Secret Manager.
Aktuelle Unterauftragsverarbeiter
PappAI greift zur Bereitstellung des Dienstes auf die folgenden Unterauftragsverarbeiter zurück. Jeder Eintrag gibt den primären Zweck, das Verarbeitungsland und die Rechtsgrundlage für eine etwaige Datenübermittlung außerhalb der EU/des EWR an. Die Liste wird aktuell gehalten, und jede wesentliche Änderung wird den Verantwortlichen im Voraus mitgeteilt.
| Anbieter | Zweck | Verarbeitungsland | Datenkategorien | Übermittlung / Garantien |
|---|---|---|---|---|
| Google Cloud Platform (Google LLC) | Cloud-Hosting (Cloud Run, Cloud SQL), Objektspeicher (GCS), Protokollierung und Überwachung. | EU regions (europe-west1) — corporate USA | Alle Dienstdaten: klinische Daten, Kontodaten, Abrechnungsdaten, Betriebsprotokolle. | EU SCC + DPA |
| Google Vertex AI (Google LLC) | Generative KI-Inferenz für die Erstellung von Diätplanentwürfen und die Unterstützung der klinischen Analyse. | EU multi-region — corporate USA | Pseudonymisierte Eingaben, die an das Modell übergeben werden; keine PII; kein Opt-in für das Training. | EU SCC + DPA · no training opt-in |
| Firebase (Google LLC) | Authentifizierung (Identitätstoken) und Zustellung von Push-Benachrichtigungen (FCM/APNs). | USA — multi-region | Nutzeridentität (E-Mail, Telefon), Geräte-Push-Token. | EU SCC + DPA |
| Stripe Payments Europe Ltd | Abonnement-Abrechnung, Rechnungsstellung, Zahlungsabwicklung. | Ireland (EU) | Konto- und Abrechnungsdaten, Transaktionsverlauf. Keine klinischen Daten. | Intra-EU |
| Brevo (Sendinblue SAS) | Zustellung transaktionaler E-Mails (Konto- und Abrechnungsbenachrichtigungen, professionelle Vorlagen). | France (EU) | Empfänger-E-Mail, Nachrichteninhalt, Zustellstatus. | Intra-EU |
| Twilio Ireland Ltd | SMS-/WhatsApp-Zustellung (Legacy-Kanal). | Ireland (EU) — corporate USA | Telefonnummer des Empfängers, Nachrichteninhalt, Zustellungsmetadaten. | EU SCC + DPA |
| Meta Platforms Ireland Ltd | WhatsApp Business Cloud API für vorlagenbasierte Patientenkommunikation. | Ireland (EU) — corporate USA | Telefonnummer des Empfängers, Vorlagenvariablen, Zustellungsmetadaten. | EU SCC + DPA |
| Google Analytics 4 (Google LLC) | Aggregierte Nutzungsanalysen auf der öffentlichen Website und in der authentifizierten App. | USA — corporate | Pseudonyme Identifikatoren, Seitenaufrufe, Interaktionsereignisse. Keine klinischen Daten. | EU SCC + DPA · consent-gated |
| Microsoft Clarity (Microsoft Corporation) | Anonymisierte UX-Analysen (Heatmaps, Sitzungswiederholungen). | USA — corporate | Pseudonyme Identifikatoren, Interaktionsereignisse. Keine klinischen Daten; sensible Felder maskiert. | EU SCC + DPA · consent-gated |
Alle aufgeführten Unterauftragsverarbeiter verarbeiten Daten auf Grundlage schriftlicher Vereinbarungen mit DSGVO-konformen Garantien (DPAs, EU-Standardvertragsklauseln, soweit anwendbar). Klinische Patientendaten werden von keinem Unterauftragsverarbeiter zum Trainieren, Feinabstimmen oder Bewerten von KI-Modellen verwendet.
Geplante Anhänge
- Anhang A: Verarbeitungsdetails (Art. 28(3) GDPR).
- Anhang B: aktuelle Liste der Unterauftragsverarbeiter.
- Anhang C: technische und organisatorische Maßnahmen (TOMs).